Impôts, préfectures : tout est tombé

Mercredi, l’État a débranché ses propres sites pour se protéger.
Une faille dans PHP, et c’est toute la vitrine numérique de la France qui baisse le rideau.

Une journée où l’État a choisi de fermer ses portes

Il était un peu plus de 15 heures, ce mercredi 21 octobre, quand les signalements ont commencé à s’accumuler sur DownDetector. Puis à exploser.

Le site des impôts ne répondait plus. Celui de la Préfecture de police non plus. Météo France, hors service. Et derrière, la quasi-totalité des préfectures du pays, constat dressé par Le Figaro au fil de l’après-midi.

Pas d’attaque spectaculaire revendiquée, pas de rançon affichée en page d’accueil. Une décision. Le ministère de l’Intérieur a placé en maintenance préventive l’ensemble de ses sites exposés, à la demande de l’Agence nationale de la sécurité des systèmes d’information. Fermer plutôt que subir.

La France n’était pas seule. Aux Pays-Bas, le Parlement et l’agence nationale de cybersécurité ont eux aussi coupé leurs sites. En Finlande, l’administration centrale a fait de même. Outre-Atlantique, la NSA a appelé sur X à une mise à jour immédiate de nombreux sites, en avertissant que ces failles pouvaient ouvrir un accès direct aux fichiers et aux bases de données des serveurs.

On a beaucoup reproché à l’administration française sa lenteur. Cette fois, elle a tranché vite. Et elle a eu raison.

Une brèche au cœur de l’Internet mondial

Tout part d’un langage informatique que le grand public ne connaît pas, mais sur lequel repose une immense partie du Web : PHP.

Mardi soir, la fondation qui le développe a levé le voile. Pendant deux mois, ses développeurs avaient gardé le silence sur leur découverte, le temps de préparer un remède. Ils ont fini par annoncer deux vulnérabilités critiques et demandé à tous les utilisateurs d’appliquer la mise à jour dès sa sortie.

Le danger est simple à comprendre. Selon Guillaume Vassault-Houlière, fondateur de YesWeHack, la faille relève de l’hypercritique parce que PHP est partout. Elle permet l’exécution de code à distance : un pirate peut faire tourner ses propres instructions sur un serveur sans jamais y mettre les pieds.

Une fois entré, il a la main. Prise de contrôle, vol de données, logiciels malveillants dissimulés, comptes liés au site récupérés. La liste fait froid dans le dos.

Les chiffres aussi. L’Anssi a établi mercredi soir que plus de 600 000 serveurs utilisent PHP sur l’Internet français. Un expert en cybersécurité et en intelligence artificielle, Nans M., estimait plus tôt dans la journée qu’environ 70 % des sites français étaient exposés.

Et la brèche ne date pas d’hier. Toutes les versions depuis PHP 5, sortie en 2004, pourraient être concernées. WordPress, Drupal, Joomla, Magento : les outils qui font vivre des millions de sites reposent sur ce langage.

Mairies, entreprises, administrations. Personne ne peut se dire à l’abri.

L’ère de l’IA ne laisse plus le temps d’attendre

Ce qui change tout, c’est la vitesse.

Le mode d’emploi de l’attaque a été rendu public mercredi, avant même que la plupart des organisations aient eu le temps de corriger quoi que ce soit. Nans M. le dit sans détour : il suffit désormais de fournir cette recette à une intelligence artificielle, avec l’adresse du site visé, pour qu’elle se charge seule du travail.

Les premiers assauts n’ont pas tardé. Dane Knecht, directeur technique de Cloudflare, a indiqué voir émerger des attaques et ajuster ses protections au fil des nouvelles méthodes repérées. En précisant que ce bouclier reste provisoire.

Le correctif, lui, est disponible. Reste à l’installer, partout, vite.

C’est là que se joue la vraie bataille. Pour chaque responsable informatique, c’est une course contre la montre. Tant que le système n’est pas à jour, la porte reste ouverte.

Couper un site pendant l’opération n’a rien d’obligatoire. Mais c’est la prudence même, et l’Anssi l’a clairement recommandé mercredi soir : mettre hors ligne les serveurs concernés jusqu’à l’application du correctif. Les administrations ont visiblement préféré se déconnecter le temps de traiter l’ensemble de leurs parcs.

Pour les entreprises, le calcul est plus douloureux. Chaque heure hors ligne coûte. Mais le risque d’attendre coûte davantage, juge l’expert. Autrefois, une faille restait confinée à quelques sociétés spécialisées et l’on pouvait différer une mise à jour. Ce temps-là est révolu.

La leçon dépasse la technique. Dans un monde où une IA peut transformer une notice publiée le matin en attaque l’après-midi, la sécurité numérique n’est plus une option qu’on repousse au trimestre suivant.

C’est une question de souveraineté et de responsabilité. L’État a montré mercredi qu’il savait prendre ses responsabilités. À chacun, désormais, de prendre les siennes.

(Crédit photo : . LP/Arnaud Journois)